Rekordbußgeld für Xandr: Einwilligungen lassen sich nicht einkaufen
Norwegens Datenschutzbehörde verhängt 92 Millionen Kronen gegen die Microsoft-Tochter Xandr, weil sie Grindr-Daten in Werbeauktionen nutzte. Die Botschaft gilt für jedes Unternehmen: Wer Daten von Partnern verarbeitet, muss die Rechtsgrundlage selbst prüfen und belegen können.
Die norwegische Datenschutzbehörde Datatilsynet hat am 12. Oktober 2026 das höchste Bußgeld ihrer Geschichte bekanntgegeben: 92 Millionen Kronen, nach Angaben der Behörde rund 8,6 Millionen Euro. Es trifft Xandr, die Werbetechnik-Tochter von Microsoft. Xandr hat Daten von Nutzern der Dating-App Grindr in Werbeauktionen verarbeitet, ohne eine gültige Rechtsgrundlage zu haben. Spannend für Unternehmen ist weniger die Höhe als die Begründung: Xandr hatte sich darauf verlassen, dass Grindr die Einwilligungen eingeholt hat. Das reicht nicht.
Was Xandr vorgeworfen wird
Von Juli 2018 bis April 2020, also fast zwei Jahre lang, hat Xandr laut Datatilsynet personenbezogene Daten von Grindr-Nutzern in Norwegen erhalten und weiterverarbeitet. Dazu gehörten nach Darstellung der Behörde auch Informationen über die sexuelle Orientierung, denn schon die Nutzung von Grindr lässt darauf schließen. Solche Daten zählen nach Artikel 9 DSGVO zu den besonders geschützten Kategorien und dürfen nur mit ausdrücklicher Einwilligung verarbeitet werden.
Xandr nahm an Echtzeit-Auktionen für Werbeplätze teil, und zwar sowohl als Anbieter als auch als Käufer. Über diese Auktionen konnten die Daten laut Datatilsynet an potenziell Tausende weitere Unternehmen weitergegeben werden. Die Behörde stuft Xandr deshalb als gemeinsam Verantwortlichen mit Grindr ein. Nach Darstellung des Fachdienstes ppc.land, der den 54-seitigen Bescheid ausgewertet hat, stellt die Behörde Verstöße gegen Artikel 6 Absatz 1 und Artikel 9 Absatz 1 DSGVO fest.
Die Kernbotschaft: Verantwortung lässt sich nicht abgeben
Xandr hatte argumentiert, die Einwilligungen seien Sache von Grindr gewesen. Die Behörde sieht das anders: Xandr habe nicht geprüft, ob die über Grindr eingeholten Einwilligungen gültig waren, und nichts unternommen, um für die eigene Verarbeitung eine Rechtsgrundlage zu haben. Direktorin Line Coll bringt es so auf den Punkt:
Our key message is that responsibility for data protection cannot be passed on to others. Each and every company must itself ensure, and be able to document, that they process personal data lawfully.
Auf Deutsch: Die Verantwortung für den Datenschutz lässt sich nicht an andere abgeben. Jedes Unternehmen muss selbst sicherstellen und belegen können, dass es Daten rechtmäßig verarbeitet. Wenn sich Firmen gegenseitig die Verantwortung zuschieben, so Coll weiter, werden die Rechte der Nutzer in der Praxis wertlos.
Ein langer Fall mit Vorgeschichte
Den Anstoß gab eine Beschwerde des norwegischen Verbraucherrats Forbrukerrådet aus dem Jahr 2020, damals noch gegen AppNexus, wie Xandr früher hieß. Laut heise war auch die Datenschutzorganisation noyb beteiligt. Grindr selbst erhielt bereits 2021 ein Bußgeld von 65 Millionen Kronen. Microsoft hat Xandr erst 2022 von AT&T übernommen. Deshalb hat die Behörde das Bußgeld nur am Umsatz von Xandr bemessen, nicht am Konzernumsatz von Microsoft.
Ein Detail aus dem Bescheid, über das ppc.land berichtet, sollten Unternehmen kennen: Xandr hat zwischen Juli 2020 und Februar 2023 Unterlagen gelöscht, obwohl die Prüfung seit Februar 2020 lief. Die Behörde stellt klar, dass die Löschung möglicher Beweise nach Beginn einer Untersuchung nicht zugunsten des Unternehmens wirken kann.
Die Entscheidung ist noch nicht rechtskräftig. Xandr kann binnen drei Wochen nach Zugang Widerspruch einlegen. Eine Stellungnahme von Microsoft lag bei Redaktionsschluss nicht vor. Norwegen gehört zwar nicht zur EU, wendet die DSGVO als EWR-Staat aber unmittelbar an. Die Argumentation lässt sich also auf deutsche Verhältnisse übertragen.
Was das für Ihr Unternehmen heißt
- Zugekaufte Daten prüfen: Wer Daten von Partnern, Datenhändlern oder Werbenetzwerken bezieht, braucht für die eigene Verarbeitung eine eigene Rechtsgrundlage. Der Hinweis, der Lieferant habe eingewilligt, schützt nicht.
- Einwilligungen nachweisbar machen: Lassen Sie sich vertraglich zusichern und praktisch belegen, wie und wofür Einwilligungen eingeholt wurden. Stichproben und Audit-Rechte gehören in den Vertrag.
- Werbe- und Tracking-Technik inventarisieren: Welche Tags, SDKs und Werbepartner sind in Ihrer Website oder App eingebunden, und wer erhält welche Daten? Gerade bei Apps fließt oft mehr ab als gedacht.
- Gemeinsame Verantwortung regeln: Wo Sie mit Partnern gemeinsam über Zwecke und Mittel entscheiden, ist eine Vereinbarung nach Artikel 26 DSGVO Pflicht. Das betrifft auch KI-Dienste, die Daten aus mehreren Quellen zusammenführen.
- Nichts löschen, wenn die Aufsicht fragt: Sobald eine Behörde prüft, gehören Löschfristen für betroffene Unterlagen auf den Prüfstand. Wer Belege vernichtet, verliert seine beste Verteidigung.
Wie teuer fehlende Kontrollen werden können, zeigt auch das DSGVO-Bußgeld gegen Uber wegen automatisierter Entscheidungen ohne menschliche Prüfung.
Fazit
Der Fall Xandr ist mehr als ein Werbetechnik-Thema. Er zeigt, dass Aufsichtsbehörden die Kette der Datenweitergabe nicht beim ersten Glied enden lassen: Wer Daten erhält und nutzt, muss selbst wissen und belegen können, warum er das darf. Das gilt für Werbenetzwerke genauso wie für jede Automation, die Kunden- oder Partnerdaten verarbeitet. Wenn Sie Ihre Datenflüsse, Tracking-Einbindungen oder KI-Automationen auf solche Lücken prüfen möchten, sprechen Sie mich gern an.
